iOS menolak tunnel strongSwan anda: bandingkan cadangan IKE

Tiada apa dalam sijil atau alamat yang menjelaskan mengapa iPhone yang bersambung ke strongSwan tahun lalu gagal tahun ini. Tiada apa pada alamat, kunci yang dikongsi terlebih dahulu atau identiti klien perlu berubah. Yang beralih ialah senarai transformasi yang klien terbina dalam telefon bersedia rundingkan, dan apabila senarai itu tidak lagi bertindih dengan senarai pelayan, pertukaran tamat sebelum identiti sesiapa diperiksa.

Baris log yang menentukan

Tingkatkan log untuk sambungan itu dan cari dua entri yang menentukan hasilnya: apa yang ditawarkan telefon dan apa yang dipilih pelayan. Jika log tamat tanpa cadangan terpilih dan melaporkan tiada apa yang sepadan, pengesahan tidak pernah dicuba. Sijil baharu dan kata laluan baharu tidak mengubah apa-apa pada titik itu, kerana kedua-duanya digunakan pada peringkat lebih lewat. Kedua-duanya tidak boleh mempengaruhi keputusan yang ditetapkan sebelum identiti diperiksa.

Asingkan dua bentuk kegagalan sebelum menyunting apa-apa. Tiada suntingan transformasi menyelamatkan kelayakan yang ditolak, dan tiada pembetulan kelayakan menyelamatkan transformasi yang ditolak. Entri log yang menamakan cadangan terpilih memberitahu anda yang mana satu daripada dua. Tanpa entri itu, anda meneka.

Baris terpilih menamakan cadangan itu melalui set transformasinya dan bukan label mesra. Bandingkan medan penyulitan, integriti dan kumpulan pada baris itu dengan senarai yang dihantar telefon, kerana percanggahan dalam mana-mana satu medan sudah cukup untuk kalah.

Apa yang berubah pada telefon

Satu keluaran iOS memangkas algoritma yang kliennya bersedia gunakan. Hash integriti lemah, kumpulan Diffie-Hellman kecil dan cadangan yang menyenaraikan pilihan lama dahulu tidak lagi boleh diterima.

Senarai lebih panjang tidak lebih selamat di sini. Pemilihan mengikut set diterima telefon dan susunan keutamaannya sendiri, jadi pelayan yang mengiklankan katalog luas masih boleh kalah dalam rundingan apabila entri moden bukan yang dipilih. Utamakan senarai pendek dengan entri moden di hadapan. Senarai panjang yang dibuka dengan pilihan lama menjemput tepat kegagalan yang anda cuba elakkan. Set diterima ialah kekangan luar yang bergerak setiap kali klien dikemas kini, jadi konfigurasi yang berfungsi semalam ialah bukti tentang semalam.

Satu pasangan yang masih berunding

Untuk telefon semasa satu kombinasi moden sudah memadai. Satu pasangan yang berunding kelihatan seperti ini:

ike=aes256-sha2_256-modp2048
esp=aes256-sha2_256

Baris ike membawa penyulitan, integriti dan kumpulan Diffie-Hellman yang digunakan semasa pertukaran kunci berjalan. Baris esp hanya meliputi saluran data, kerana kumpulan itu telah ditetapkan sebelum ia terpakai. Muat semula sambungan atau mulakan semula daemon, kemudian sambungkan telefon semula. Kekalkan nilai kumpulan itu hanya jika setiap klien yang anda layani masih menerimanya, dan jangan luaskan cadangan untuk semua hanya kerana satu rakan lama perlukan lebih.

Tiga tempat untuk membetulkannya, satu biasanya tertutup

• Satu cadangan moden untuk setiap rakan. Betul apabila semua klien ialah telefon dan desktop semasa. Ia memadam transformasi lama dan bukan berunding di sekelilingnya.
• Definisi sambungan kedua untuk klien Apple. Mengekalkan satu rakan lama hidup sambil memberi telefon cadangan yang diterimanya. Ia memerlukan satu blok sambungan lagi dan menjadikan pengecualian itu kelihatan.
• Menukar klien. Jarang terbuka kepada anda: apabila sistem pengurusan atau aplikasi membekalkan profil, tiada penyunting cadangan untuk disentuh, dan klien terbina dalam tidak mendedahkan satu.

Pilih pilihan kedua apabila peranti di luar kawalan anda tidak boleh dikemas kini. Pilih yang pertama apabila anda boleh bersara rakan lama dan lebih suka membawa satu dasar.

Sama ada, pilihan itu kelihatan dalam konfigurasi, dan itulah intinya. Fallback senyap yang berunding turun ke transformasi lama lebih buruk daripada blok eksplisit, kerana tiada semakan akan mendedahkannya.

Buktikan, kemudian catatkan

Sambung semula dan periksa tiga fakta berasingan pada pelayan: cadangan dipilih, sambungan menunjukkan established, dan klien menerima alamat. Jabat tangan established tanpa alamat jauh menunjuk ke kolam atau pemilih trafik, dan itu tergolong dalam perubahan tersendiri. Mengendalikan kedua-duanya bersama membuat rundingan yang selesai kelihatan belum selesai.

Catatkan set transformasi yang diterima, bila anda mengubahnya dan binaan klien mana yang anda sahkan. Kemas kini seterusnya boleh mengalihkan keperluan lagi, dan nilai yang berjaya ialah perkara pertama yang anda mahu ada di sebelah yang baharu.